Resumen

  • RIPE NCC automatizó la retirada y la reanunciación de prefijos DNS con comprobaciones locales y mediciones desde anclajes Atlas.
  • Cuando un error de cortafuegos hizo que todas las instancias mostraran cero alcance, el mecanismo común mantuvo el último estado de ruta.
  • La prueba ejercitó un control de enrutamiento; no informó de una interrupción DNS para usuarios.

Un cero aislado puede justificar que se retire el prefijo de una instancia. Cero en todas a la vez obliga a mirar también al medidor: quizá falló la recogida, no el servicio.

Leon Grasmeijer, ingeniero de sistemas del equipo DNS de RIPE NCC, describió el mecanismo en la sesión DNS de RIPE 93. Un proceso pequeño comprueba si responde el servidor DNS local. Si no, retira el prefijo de esa instancia. Después busca una ruta predeterminada o una tabla completa de rutas. Si faltan ambas, retira también el prefijo del servidor. RIPE NCC mantiene prefijos de cobertura anunciados desde un sitio central como respaldo.

La nueva capa mide el camino de retorno desde cada instancia hasta los anclajes de RIPE Atlas. Cuenta cuántos reciben sus mensajes. Si la proporción cae por debajo del umbral, retira el prefijo de servicio. Antes, una persona tenía que retirar y restaurar el anuncio. Ahora el controlador lo hace y vuelve a anunciarlo cuando la medición se recupera.

El reto era saber cuándo una señal idéntica tenía una causa común. Si demasiadas instancias o ubicaciones caen juntas por debajo del umbral, el sistema conserva el último resultado. Grasmeijer describió la prueba: un cambio equivocado en el cortafuegos bloqueó la recogida de métricas; todas las instancias marcaron cero y los prefijos siguieron anunciados, como estaba previsto.

La página DNS de RIPE NCC describe AuthDNS como un servicio anycast que aloja DNS inverso, ripe.net, e164.arpa y otras zonas de infraestructura. Publica los anuncios del clúster 193.0.9.0/24 y 2001:67c:e0::/48 desde AS197000. En BGP, retirar una ruta comunica a los pares que deja de estar disponible. RIPE NCC mantiene además prefijos de cobertura desde un sitio central. La transcripción no mide qué ruta siguió cada resolvedor.

La transcripción no da el número de anclajes, los umbrales de retirada y recuperación, el tiempo de retención ni el prefijo exacto afectado por el cortafuegos. Esos ajustes determinarían si otro operador podría reproducir el control.

El diseño enfrenta dos errores distintos. Un diagnóstico falso de avería en una instancia puede retirar una ruta que aún funciona; un cero común puede conservar el último anuncio durante una avería real. La ruta central y el colector protegido son controles separados, y cada uno necesita su propia prueba.

Fuentes